OpenKeel : la solution Cloud souveraine, française à portée européenne du groupe inherent Découvrir inherent
Composants · Services et orchestration
API EC2 Query (97 actions), signatures SigV2 et SigV4 vérifiées par Keystone : AWS CLI, boto3, Terraform.
OpenKeel implementation in Go of OpenStack ec2-api (ec2-api), generated from the reverse-specification of branch 17.0.0 by the generate-go-from-spec skill. It replaces the Python service without its clients noticing: the same EC2 Query API (97 actions of ec2-api 17.0.0, SigV2 and SigV4 verified by Keystone ec2tokens), the same XML documents and error codes, the same EC2 identifiers and the same ec2api database. What is reproduced and what differs is in docs/CONFORMANCE.md; the security checklist is in docs/SECURITY.md.
items, tags). Not included: ec2-api-metadata (Nova's metadata service or cloud-init serves instances) and ec2-api-s3 (Swift s3api) — docs/CONFORMANCE.md D9, D10github.com/openkeel/openkeel-ec2-apiec2-api (API on port 8788, health and metrics on 9090)Extrait de openkeel-ec2-api/README.md (en anglais).
100 actions de l'API d'origine, et leur état dans OpenKeel.
L'ec2-api retiré est vérifié par rapport à son comportement enregistré et surtout face aux vrais clients AWS : l'AWS CLI et le provider AWS de Terraform.
Les échanges d'erreur enregistrés donnent le même statut, le même code EC2 et le même message ; les sondes du dispatcher comparent les erreurs en texte brut et les racines de réponse.
test/e2e/exchanges_test.go et test/e2e/probes_test.go.
Dernier résultat 40 / 40 identiques ; sondes : 9 identiques à l'octet près, 6 volontairement différentes (2026-11-02).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Chaque famille d'actions s'exécute, et les formes de réponse sont comparées à celles enregistrées depuis Python.
test/e2e/scenario_test.go.
Dernier résultat 97 / 97 actions réussies ; 93 formes de réponse vérifiées, aucun élément inexpliqué (2026-11-02).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
La vraie AWS CLI fonctionne sur 42 actions, avec SigV4 vérifié par l'algorithme de keystoneclient.
test/awscli (build tag awscli), AWS CLI v2 2.18.
Dernier résultat Réussi (2026-11-02).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Terraform applique un VPC, un sous-réseau, une passerelle, des routes, un groupe de sécurité, une paire de clés, une instance, une EIP et un volume, puis ne planifie aucun changement et détruit le tout.
test/terraform (build tag terraform), Terraform 1.5.4 et hashicorp/aws 5.100.0, sur MariaDB.
Dernier résultat Réussi sur MariaDB (2026-11-02).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Un VPC par défaut et un ID EC2 par serveur sous requêtes concurrentes sur trois nœuds ; les écritures de tags convergent.
test/galera (build tag galera) sur un cluster à 3 nœuds.
Dernier résultat Réussi, 3 exécutions, aucun 5xx (2026-11-02).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Le plugin Tempest amont du projet.
Retiré avec le projet en amont.
Dernier résultat Non exécuté.
Source : openkeel-ec2-api/docs/CONFORMANCE.md
L'API EC2 (retirée en amont en 2024) conserve ses actions mais abandonne son propre serveur S3 et son service de métadonnées, que la plateforme fournit déjà.
Repris par Rook-Ceph RGW
Le serveur S3 Python n'est pas authentifié ; le stockage objet compatible S3 vient de la plateforme.
Les clients S3 utilisent l'endpoint RGW avec les identifiants EC2 de Keystone (okadm --ceph-s3).
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Repris par KubeVirt (cloud-init)
Les instances obtiennent leurs métadonnées par les datasources OpenStack et NoCloud de cloud-init (config drive).
Les invités démarrent et se configurent comme d'habitude ; seuls les identifiants EC2 (i-, ami-, r-) manquent dans leurs métadonnées.
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Plusieurs répliques et un Galera multi-écrivain exigent un verrou à l'échelle du cluster : une ligne en base avec expiration.
Les VPC par défaut sont toujours créés une fois par projet, désormais de façon sûre entre répliques.
Source : openkeel-ec2-api/docs/CONFORMANCE.md
Seul ce qui a été écarté par choix de conception figure ici ; le travail pas encore fait se trouve dans les Known gaps du docs/CONFORMANCE.md du module. Tous les modules
Vue « service » générée par la skill diagramme depuis le modèle d'OpenKeel.
Plein écran| De | Vers | Protocole | Quoi |
|---|---|---|---|
| EC2 API | Keystone | API REST | ec2tokens (SigV4) |
| EC2 API | Nova API | API REST | instances |
| EC2 API | Neutron server | API REST | VPC, subnets, security groups |
| EC2 API | Cinder API | API REST | volumes, snapshots |
| EC2 API | Glance | API REST | AMIs |
Branche 17.0.0 · 9 fichiers
Lire la reverse-specZones et recordsets publiés par ExternalDNS (un DNSEndpoint par recordset).
Valorisation (FinOps) : usage collecté depuis Prometheus, valorisé par des règles hashmap et des scripts CEL, historique valorisé dans InfluxDB ; avec openkeel-pricing (devis de coût et de carbone), il alimente la page FinOps / GreenOps de Skyline.
Orchestration : pas encore de service Go ; les commandes stack et orchestration sont réécrites dans ok.